Senest opdateret: 9. november 2026

Databehandleraftale

Denne databehandleraftale ("aftalen") fastsætter vilkårene for AdeptTimes behandling af personoplysninger på vegne af kunderne, som krævet i artikel 28 i databeskyttelsesforordningen (EU) 2016/679 ("GDPR"). Aftalen er en del af vilkårene mellem AdeptTime og kunden og gælder automatisk, når kunden bruger tjenesten.

1. Parter og roller

Kunden — den organisation, der har oprettet eller er ansvarlig for en arbejdsgruppe i AdeptTime — er dataansvarlig. Adept Works ApS (CVR 45721833), Danmark, som leverer AdeptTime ("AdeptTime"), er databehandler og behandler kun personoplysninger på vegne af den dataansvarlige. Er kunden selv databehandler for en tredjepart, er AdeptTime underdatabehandler, og aftalen gælder tilsvarende.

Når AdeptTime behandler oplysninger til egne formål (fx administration af brugerkonti, sikkerhed og fakturering af kunden), er AdeptTime selvstændig dataansvarlig, som beskrevet i vores privatlivspolitik.

2. Behandlingens omfang

Behandlingens genstand, karakter, formål og varighed samt kategorierne af personoplysninger og registrerede er beskrevet i bilag A.

3. Instruks

AdeptTime behandler kun personoplysninger efter dokumenteret instruks fra den dataansvarlige, herunder for så vidt angår overførsel til tredjelande, medmindre det kræves i henhold til EU-ret eller national ret. Hovedaftalen, denne aftale og den dataansvarliges brug og opsætning af tjenesten udgør den dataansvarliges instruks. AdeptTime underretter straks den dataansvarlige, hvis en instruks efter AdeptTimes opfattelse er i strid med databeskyttelsesreglerne.

4. Den dataansvarliges forpligtelser

Den dataansvarlige er ansvarlig for at have et lovligt grundlag for behandlingen, for at oplyse de registrerede og for, at de personoplysninger, der indtastes i eller indsamles via tjenesten — herunder lokationsdata fra geofence-baseret tilstedeværelsesregistrering — behandles lovligt. Den dataansvarlige bestemmer, hvilke funktioner og integrationer der er slået til for arbejdsgruppen.

5. Fortrolighed

AdeptTime sikrer, at personer, der er autoriseret til at behandle personoplysningerne, er underlagt tavshedspligt og kun har adgang i det omfang, det er nødvendigt for at levere, supportere og sikre tjenesten.

6. Behandlingssikkerhed

AdeptTime gennemfører passende tekniske og organisatoriske foranstaltninger i overensstemmelse med GDPR artikel 32 under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og risikoen for de registrerede. De nuværende foranstaltninger er beskrevet i bilag C. AdeptTime kan opdatere foranstaltningerne, så længe det samlede beskyttelsesniveau ikke forringes.

7. Underdatabehandlere

Den dataansvarlige giver AdeptTime generel godkendelse til at benytte underdatabehandlere. De anvendte underdatabehandlere fremgår af bilag B. AdeptTime giver kundens administrator mindst 30 dages varsel pr. e-mail, før en underdatabehandler tilføjes eller udskiftes. Den dataansvarlige kan inden for denne frist gøre indsigelse af saglige databeskyttelsesmæssige grunde; kan parterne ikke finde en løsning, kan den dataansvarlige opsige den berørte del af tjenesten.

AdeptTime pålægger hver underdatabehandler de samme databeskyttelsesforpligtelser som i denne aftale og forbliver ansvarlig over for den dataansvarlige for underdatabehandlerens opfyldelse.

Tredjepartstjenester, som den dataansvarlige selv vælger at forbinde til sin arbejdsgruppe — fx et regnskabs- eller lønsystem — er ikke underdatabehandlere for AdeptTime. Oplysninger sendes til sådanne tjenester efter den dataansvarliges instruks, og den dataansvarliges egen aftale med udbyderen regulerer behandlingen dér.

8. Overførsel uden for EU/EØS

Personoplysninger opbevares og behandles primært inden for EU/EØS. AdeptTime overfører kun personoplysninger til lande uden for EU/EØS, hvis der foreligger et gyldigt overførselsgrundlag efter GDPR kapitel V, fx en tilstrækkelighedsafgørelse (herunder EU-US Data Privacy Framework) eller EU-Kommissionens standardkontraktbestemmelser.

9. Bistand til den dataansvarlige

Under hensyntagen til behandlingens karakter bistår AdeptTime den dataansvarlige med passende foranstaltninger ved besvarelse af anmodninger fra registrerede om deres rettigheder (indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse). Meget af dette kan arbejdsgruppens administratorer gøre direkte i tjenesten. Modtager AdeptTime en sådan anmodning direkte, videresendes den uden unødig forsinkelse til den dataansvarlige, og AdeptTime svarer ikke selv uden instruks.

AdeptTime bistår desuden efter anmodning den dataansvarlige med at overholde GDPR artikel 32–36, herunder konsekvensanalyser og forudgående høring af tilsynsmyndigheden, ud fra de oplysninger AdeptTime har til rådighed.

10. Brud på persondatasikkerheden

AdeptTime underretter den dataansvarlige uden unødig forsinkelse og så vidt muligt senest 48 timer efter at være blevet bekendt med et brud på persondatasikkerheden, der berører den dataansvarliges oplysninger. Underretningen beskriver så vidt muligt bruddets karakter, de berørte kategorier og det omtrentlige antal registrerede og registreringer, de sandsynlige konsekvenser samt de trufne eller foreslåede foranstaltninger. AdeptTime træffer rimelige foranstaltninger for at begrænse og afhjælpe bruddet.

11. Sletning og tilbagelevering

Når tjenesten ophører, kan den dataansvarlige eksportere sine oplysninger via tjenesten eller anmode AdeptTime om en eksport. AdeptTime sletter den dataansvarliges personoplysninger senest 90 dage efter ophør, medmindre EU-ret eller national ret kræver fortsat opbevaring. Oplysninger i sikkerhedskopier overskrives i takt med den normale backupcyklus.

12. Revision og oplysninger

AdeptTime stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af GDPR artikel 28, og giver mulighed for og bidrager til revisioner, herunder inspektioner, foretaget af den dataansvarlige eller en revisor udpeget af denne. Revisioner skal varsles med rimelig frist, begrænses til det nødvendige, respektere fortroligheden af andre kunders oplysninger og afholdes for den dataansvarliges regning. AdeptTime kan i første omgang svare med skriftlig dokumentation.

13. Varighed, ansvar og forrang

Aftalen gælder, så længe AdeptTime behandler personoplysninger på vegne af den dataansvarlige. Parternes ansvar efter denne aftale er underlagt ansvarsbegrænsningerne i vilkårene eller en anden aftale mellem parterne, undtagen hvor GDPR ikke tillader en sådan begrænsning. Ved uoverensstemmelse mellem denne aftale og andre vilkår mellem parterne om behandling af personoplysninger har denne aftale forrang.

AdeptTime kan opdatere aftalen som følge af ændringer i lovgivningen eller tjenesten. Væsentlige ændringer varsles over for kunderne på forhånd. En underskrevet kopi kan fås efter anmodning.

14. Lovvalg

Aftalen er underlagt dansk ret. Tvister afgøres ved de danske domstole.

Bilag A — Oplysninger om behandlingen

• Genstand og formål — levering af AdeptTime: timeregistrering, godkendelse af arbejde, vagtplaner, sager/opgaver, teams, udlæg og kørsel, geofence-baseret tilstedeværelsesregistrering, rapportering, understøttelse af fakturering og integrationer, som den dataansvarlige har slået til.
• Behandlingens karakter — indsamling, opbevaring, strukturering, søgning, beregning, visning, videregivelse efter den dataansvarliges instruks samt sletning.
• Registrerede — den dataansvarliges ansatte, underleverandører og øvrige brugere af tjenesten; kontaktpersoner hos den dataansvarliges kunder.
• Kategorier af personoplysninger — navn, e-mailadresse, telefonnummer, adresse, profilbillede, rolle og stilling; medlemskab af arbejdsgrupper og teams; tids-, arbejds-, udlægs- og kørselsregistreringer, herunder beskrivelser og vedhæftede dokumenter; vagtplaner og godkendelser; løn- og faktureringssatser; enhedens lokation, mens geofence-baseret check-in er slået til; push-tokens; kunders kontaktoplysninger; tekniske logs.
• Følsomme oplysninger — ingen er tilsigtet. Den dataansvarlige bør ikke indtaste særlige kategorier af oplysninger (GDPR artikel 9) eller CPR-numre i fritekstfelter eller vedhæftede filer.
• Varighed — i hovedaftalens løbetid, efterfulgt af sletning som beskrevet i punkt 11.

Bilag B — Underdatabehandlere

• Microsoft Ireland Operations Ltd. (Microsoft Azure) — hosting, database, fillagring, transaktionelle e-mails og applikationsovervågning. Placering: EU.
• 650 Industries, Inc. (Expo) — levering af push-notifikationer til mobilappen (push-token og notifikationens indhold). Placering: USA, overførsel på grundlag af standardkontraktbestemmelserne eller EU-US Data Privacy Framework.
• Google Ireland Ltd. / Google LLC (Google Maps Platform) — kort og adresseopslag i webdashboardet (adresser og arbejdssteders placering). Placering: EU/USA, overførsel på grundlag af EU-US Data Privacy Framework.

Bilag C — Tekniske og organisatoriske foranstaltninger

• Kryptering — al trafik krypteres under overførsel med TLS. Data krypteres i hvile af hostingplatformen. Adgangsoplysninger til tredjepartsintegrationer krypteres desuden på applikationsniveau.
• Adgangskontrol — autentificering med signerede, tidsbegrænsede tokens. Hver forespørgsel er afgrænset til brugerens arbejdsgruppe og rolle, og adskillelsen mellem kunder håndhæves i databaseforespørgslerne.
• Intern adgang — adgang til produktionssystemer er begrænset til de personer, der har behov for det, og beskyttet med flerfaktorgodkendelse.
• Tilgængelighed — administreret database med automatiske sikkerhedskopier og gendannelse til et vilkårligt tidspunkt.
• Logning og overvågning — applikations- og sikkerhedshændelser logges og overvåges for fejl og misbrug.
• Dataminimering — lokationsdata behandles kun, mens geofence-baseret check-in er slået til for arbejdsgruppen, og kun for at registrere tilstedeværelse på arbejdssteder.

Kontakt

Spørgsmål om aftalen eller anmodning om en underskrevet kopi kan sendes til privacy@adepttime.dk.

Adept Works ApS · CVR 45721833 · Danmark